ZTNA ist die technische Umsetzung des Zero-Trust-Gedankens für den Zugriff auf Anwendungen: Freigegeben wird nicht der Weg ins Netzwerk, sondern die einzelne Anwendung, und zwar erst nach Prüfung von Identität, Gerätezustand und Berechtigung. Der Unterschied zum VPN ist grundlegend, denn dieses stellt eine Netzwerkverbindung her, nach der ein Nutzer alles erreicht, was in diesem Segment erreichbar ist, während ZTNA alles Übrige unsichtbar lässt.
Technisch wird der Zugriff über einen vermittelnden Dienst geführt, sodass die Anwendung selbst nicht direkt aus dem Internet erreichbar ist und damit auch nicht gescannt oder angegriffen werden kann. Geprüft wird laufend und nicht nur beim Verbindungsaufbau, sodass eine Sitzung endet, wenn sich Bedingungen ändern, etwa der Gerätestatus.
Eingesetzt wird das Modell vor allem für Homeoffice, mobile Arbeit und den Zugang externer Dienstleister, wo der begrenzte Zugriff besonders zählt. Bei der Einführung ist die Bestandsaufnahme der Anwendungen der eigentliche Aufwand, weil pro Anwendung festzulegen ist, wer sie unter welchen Bedingungen nutzen darf.